ปฏิบัติการแรนซัมแวร์ที่รู้จักในชื่อ The Gentlemen ซึ่งไมโครซอฟท์ติดตามภายใต้ชื่อ Storm-2697 กำลังดึงดูดความสนใจครั้งใหม่จากนักวิจัยด้านความปลอดภัยด้วยความสามารถเฉพาะและน่ากังวล นั่นคือ ความสามารถในการปิดการทำงานของเครื่องมือตรวจจับและตอบสนองปลายทาง (EDR) ก่อนเริ่มการโจมตี คำแนะนำฉบับใหม่ได้อธิบายว่ากลุ่มนี้ทำให้ระบบป้องกันที่องค์กรพึ่งพาเพื่อตรวจจับการบุกรุกนั้นบอดลงได้อย่างไร และผู้ป้องกันสามารถทำอะไรได้บ้างเพื่อปิดช่องโหว่นั้น

The Gentlemen ดำเนินงานในรูปแบบแพลตฟอร์มแรนซัมแวร์แบบบริการ (RaaS) หมายความว่ากลุ่มหลักเป็นผู้สร้างและบำรุงรักษามัลแวร์ ในขณะที่เครือข่ายพันธมิตรเป็นผู้ดำเนินการเจาะระบบและเจรจาจริง รูปแบบนี้กลายเป็นโครงสร้างหลักที่อยู่เบื้องหลังแคมเปญแรนซัมแวร์ขนาดใหญ่ เนื่องจากช่วยให้ผู้ดำเนินการขยายขนาดได้อย่างรวดเร็ว เผยแพร่เครื่องมือไปยังผู้โจมตีมากขึ้นโดยไม่ต้องลงมือเจาะระบบด้วยตัวเอง นักวิจัยอธิบายว่า The Gentlemen มีแรงจูงใจด้านการเงิน มีต้นกำเนิดจากผู้พูดภาษารัสเซีย และเติบโตอย่างรวดเร็วในระยะเวลาอันสั้น ซึ่งเป็นรูปแบบที่สะท้อนกลุ่ม RaaS อื่นๆ ที่ขยายตัวอย่างรุนแรงเมื่อโมเดลพันธมิตรเติบโตเต็มที่

แรนซัมแวร์ The Gentlemen ทำให้การป้องกัน EDR บอดได้อย่างไร

ซอฟต์แวร์ EDR ถูกออกแบบมาให้เป็นแนวป้องกันสุดท้ายบนอุปกรณ์ที่ถูกบุกรุก: มันเฝ้าดูพฤติกรรมของกระบวนการที่น่าสงสัย ธงความผิดปกติของกิจกรรมไฟล์ และสามารถแยกเครื่องออกจากเครือข่ายก่อนที่แรนซัมแวร์จะเข้ารหัสไฟล์เสร็จ วิธีการของ The Gentlemen มุ่งเป้าไปที่ชั้นนี้โดยเฉพาะ แทนที่จะพยายามเล็ดลอดผ่านเครื่องมือ EDR ชุดเครื่องมือของกลุ่มนี้ถูกสร้างขึ้นเพื่อปิดการทำงาน ถอนการติดตั้ง หรือทำให้เป็นกลางโดยสิ้นเชิง ถอดระบบเตือนภัยออกก่อนที่การบุกรุกจะถูกสังเกตเห็นด้วยซ้ำ

ความสามารถในการฆ่า EDR แบบนี้กลายเป็นคุณสมบัติที่เกิดขึ้นซ้ำในชุดเครื่องมือแรนซัมแวร์สมัยใหม่ และมันเปลี่ยนสมการสำหรับผู้ป้องกัน เครือข่ายที่สมมติว่าเอเจนต์ EDR ของตนจะรายงานกลับเสมอจะเสี่ยงหากการเคลื่อนไหวแรกของผู้โจมตีคือการทำให้เอเจนต์นั้นเงียบ เมื่อเครื่องมือรักษาความปลอดภัยดับลง ผู้ดำเนินการแรนซัมแวร์สามารถเคลื่อนที่ด้านข้าง เก็บข้อมูลประจำตัว และจัดเตรียมข้อมูลเพื่อขโมยออกด้วยความเสี่ยงต่อการตรวจจับตั้งแต่เนิ่นๆ ที่น้อยลงมาก สิ่งนี้สะท้อนแนวโน้มกว้างๆ ที่เห็นในตระกูลแรนซัมแวร์: ผู้คุกคามให้ความสำคัญกับการปิดการทำงานเครื่องมือรักษาความปลอดภัยเป็นขั้นตอนแรก ไม่ใช่สิ่งที่คิดทีหลัง เพราะมันซื้อเวลาให้พวกเขาทำแคมเปญเข้ารหัสทั้งเครือข่ายและข่มขู่ให้เสร็จสมบูรณ์

ทำไมเรื่องนี้จึงสำคัญเกินกว่าข้อความเรียกค่าไถ่

ผลกระทบด้านความเป็นส่วนตัวของการทำให้ EDR บอดนั้นไปไกลกว่าการหยุดชะงักทันทีของการโจมตีด้วยแรนซัมแวร์ ปฏิบัติการแรนซัมแวร์สมัยใหม่ส่วนใหญ่ รวมถึงกลุ่มขู่กรรโชกสองชั้น ขโมยข้อมูลก่อนเข้ารหัส หากเครื่องมือ EDR ถูกปิดการทำงานตั้งแต่เนิ่นๆ ในการบุกรุก องค์กรจะสูญเสียการมองเห็นว่าข้อมูลใดถูกเข้าถึง คัดลอก หรือขโมยออกไปในช่วงที่ผู้โจมตีควบคุมเครือข่าย ความไม่แน่นอนนั้นทำให้การแจ้งเตือนการละเมิด การรายงานตามกฎระเบียบ และความพยายามใดๆ ในการบอกลูกค้าหรือผู้ป่วยที่ได้รับผลกระทบว่าข้อมูลใดอาจถูกเปิดเผยมีความซับซ้อนมากขึ้น

นี่เป็นรูปแบบที่คุ้นเคยในภูมิทัศน์แรนซัมแวร์ คำแนะนำที่ครอบคลุมกลุ่มที่เคลื่อนไหวอื่นๆ เช่น คำเตือนร่วมที่ออกเกี่ยวกับ แรนซัมแวร์ Gunra ที่โจมตีองค์กรด้านการดูแลสุขภาพ ได้ชี้ให้เห็นซ้ำแล้วซ้ำเล่าว่าผู้โจมตีใช้ประโยชน์จากจุดบอดในการเฝ้าติดตามเพื่อเพิ่มความเสียหายสูงสุดก่อนที่ใครจะสังเกตเห็น ภาคการดูแลสุขภาพโดยเฉพาะตกเป็นเป้าหมายซ้ำแล้วซ้ำเล่า ดังรายละเอียดในคำแนะนำเกี่ยวกับ ภัยคุกคามที่เพิ่มขึ้นของ Gunra ต่อโรงพยาบาล เพราะข้อมูลผู้ป่วยที่ละเอียดอ่อนรวมกับความเร่งด่วนในการปฏิบัติงานทำให้องค์กรมีแนวโน้มที่จะจ่ายเงินเร็วขึ้น วิธีการทำให้ EDR บอดของ The Gentlemen เข้ากับบทเดียวกันนี้: ปิดผู้เฝ้าดู แล้วใช้เวลาของคุณให้เต็มที่

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณดูแลฝ่ายไอทีหรือปฏิบัติการรักษาความปลอดภัยให้กับธุรกิจ คำแนะนำนี้เป็นเครื่องเตือนใจว่าซอฟต์แวร์ EDR เพียงอย่างเดียวไม่ใช่การรับประกันการป้องกัน ผู้โจมตีกำลังสร้างเครื่องมือเพื่อเอาชนะมันอย่างแข็งขัน และเอเจนต์ที่ถูกปิดการทำงานหนึ่งตัวบนเครื่องเดียวอาจเป็นความแตกต่างระหว่างเหตุการณ์ที่ถูกควบคุมกับการละเมิดทั่วทั้งเครือข่าย การป้องกันหลายชั้น รวมถึงการเฝ้าติดตามระดับเครือข่ายที่ไม่พึ่งพาเฉพาะเอเจนต์ปลายทางที่รายงานกลับเท่านั้น เริ่มจำเป็นมากขึ้นเพื่อจับการบุกรุกเมื่อสัญญาณ EDR เงียบลง

สำหรับผู้ใช้ทั่วไปและผู้บริโภค ข้อสรุปไม่เกี่ยวกับการลงมือทำโดยตรง แต่เกี่ยวกับความตระหนักรู้มากกว่า กลุ่มแรนซัมแวร์อย่าง The Gentlemen ท้ายที่สุดแล้วมุ่งเป้าไปที่องค์กรที่ถือข้อมูลของคุณ ตั้งแต่นายจ้างไปจนถึงผู้ให้บริการด้านสุขภาพและบริษัทบริการ เมื่อองค์กรเหล่านั้นสูญเสียการมองเห็นในการโจมตี การแจ้งเตือนการละเมิดที่ตามมาอาจล่าช้าหรือไม่สมบูรณ์ ซึ่งเป็นเหตุผลว่าทำไมการตื่นตัวต่อการเปิดเผยการละเมิดและดำเนินการอย่างรวดเร็วกับการเปลี่ยนรหัสผ่านหรือข้อเสนอการติดตามเครดิตจึงสำคัญมากขึ้นกว่าที่เคย

ก้าว ahead ของแรนซัมแวร์ที่หลบเลี่ยง EDR

การป้องกัน The Gentlemen และกลุ่มที่คล้ายกันต้องปฏิบัติต่อ EDR เป็นหนึ่งในหลายชั้น แทนที่จะเป็นจุดล้มเหลวจุดเดียว ทีมรักษาความปลอดภัยควรเฝ้าติดตามความพยายามที่ไม่ได้รับอนุญาตในการถอนการติดตั้งหรือปิดการทำงานเอเจนต์รักษาความปลอดภัย เนื่องจากพฤติกรรมนั้นเองเป็นสัญญาณเตือนล่วงหน้าที่ชัดเจนของการบุกรุกที่กำลังดำเนินอยู่ การอัปเดตระบบให้เป็นปัจจุบันก็สำคัญเช่นกัน เพราะผู้โจมตีมักพึ่งพาช่องโหว่ที่รู้จักเพื่อให้ได้จุดตั้งหลักเริ่มต้นที่จำเป็นในการเข้าถึงและปิดการทำงานเครื่องมือรักษาความปลอดภัย ซึ่งเป็นพลวัตที่เห็นได้ในคำแนะนำการอัปเดตล่าสุด เช่น คำแนะนำช่องโหว่ゼロเดย์ของ Windows สำหรับ CVE-2026-68820

ท้ายที่สุด การเพิ่มขึ้นของกลยุทธ์การหลบเลี่ยง EDR ของแรนซัมแวร์ The Gentlemen ตอกย้ำการเปลี่ยนแปลงในวิธีการทำงานของกลุ่มแรนซัมแวร์: การต่อสู้ตอนนี้เริ่มก่อนการเข้ารหัส ในช่วงเวลาที่ผู้โจมตีพยายามทำให้การป้องกันของคุณบอด องค์กรที่สร้างความซ้ำซ้อนในการเฝ้าติดตาม แบ่งส่วนเครือข่ายเพื่อจำกัดการเคลื่อนที่ด้านข้าง และฝึกอบรมพนักงานให้รู้จักสัญญาณเริ่มต้นของการดัดแปลงซอฟต์แวร์รักษาความปลอดภัย จะอยู่ในตำแหน่งที่ดีกว่าองค์กรที่พึ่งพา EDR เป็นตาข่ายนิรภัยเพียงจุดเดียวมาก

ข้อสรุปที่นำไปปฏิบัติได้:

  • ตรวจสอบว่า EDR หรือซอฟต์แวร์แอนตี้ไวรัสของคุณเปิดใช้งานการป้องกันการดัดแปลง (tamper protection) และไม่สามารถปิดได้โดยไม่ต้องมีการยืนยันตัวตนเพิ่มเติม
  • ตั้งค่าการแจ้งเตือนเฉพาะสำหรับการถอนการติดตั้ง การปิดใช้งาน หรือการหยุดบริการของเอเจนต์ EDR เนื่องจากพฤติกรรมนี้เป็นธงแดงในตัวเอง
  • เพิ่มการเฝ้าติดตามระดับเครือข่ายควบคู่กับเครื่องมือปลายทางเพื่อให้การมองเห็นไม่หายไปหากเอเจนต์หนึ่งตัวดับลง
  • อัปเดตช่องโหว่ที่รู้จักทันที เนื่องจากระบบที่ไม่ได้รับการอัปเดตยังคงเป็นจุดเข้าที่ง่ายที่สุดสำหรับพันธมิตร RaaS
  • หากคุณเป็นผู้บริโภค ให้สังเกตการแจ้งเตือนการละเมิดจากองค์กรที่คุณติดต่อด้วยและดำเนินการอย่างรวดเร็วกับการเปลี่ยนแปลงรหัสผ่านหรือความปลอดภัยของบัญชีที่แนะนำ

FAQ: Q1: แรนซัมแวร์ The Gentlemen คืออะไร? A1: The Gentlemen คือปฏิบัติการแรนซัมแวร์แบบบริการที่ไมโครซอฟท์ติดตามภายใต้ชื่อ Storm-2697 อธิบายว่ามีแรงจูงใจด้านการเงิน มีต้นกำเนิดจากผู้พูดภาษารัสเซีย และเติบโตอย่างรวดเร็ว Q2: The Gentlemen ปิดการทำงานเครื่องมือ EDR ได้อย่างไร? A2: แทนที่จะพยายามเล็ดลอดผ่านเครื่องมือตรวจจับและตอบสนองปลายทาง ชุดเครื่องมือของมันถูกสร้างขึ้นเพื่อปิดการทำงาน ถอนการติดตั้ง หรือทำให้เป็นกลางก่อนเริ่มการโจมตี Q3: ทำไมการปิดการทำงานเครื่องมือ EDR จึงเป็นข้อกังวลสำคัญ? A3: เมื่อ EDR ถูกทำให้เงียบ ผู้โจมตีสามารถเคลื่อนที่ด้านข้าง เก็บข้อมูลประจำตัว และจัดเตรียมข้อมูลเพื่อขโมยออกด้วยความเสี่ยงต่อการตรวจจับตั้งแต่เนิ่นๆ ที่น้อยลงมาก Q4: แรนซัมแวร์แบบบริการ (RaaS) คืออะไร? A4: มันคือรูปแบบที่กลุ่มหลักเป็นผู้สร้างและบำรุงรักษามัลแวร์ ในขณะที่พันธมิตรเป็นผู้ดำเนินการเจาะระบบและเจรจาจริง Q5: การทำให้ EDR บอดส่งผลต่อการแจ้งเตือนการละเมิดอย่างไร? A5: เนื่องจาก EDR อาจถูกปิดการทำงานตั้งแต่เนิ่นๆ องค์กรจึงสูญเสียการมองเห็นว่าข้อมูลใดถูกเข้าถึงหรือขโมยออกไป ซึ่งทำให้การแจ้งเตือนการละเมิดและการรายงานตามกฎระเบียบมีความซับซ้อนมากขึ้น ---END---